Veri işleme sözleşmesi

1.1Deze verwerkersovereenkomst geldt tussen jou, de onderneming die Katsjing gebruikt, en Whisper of Coding, handelend onder de naam Katsjing, ingeschreven bij de Kamer van Koophandel onder nummer 77565061, gevestigd aan Charlotte van Pallandtrade 15, 2907 MP Capelle aan den IJssel.

1.2Voor de persoonsgegevens die in jouw administratie staan ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. Jij bepaalt waarvoor en hoe die gegevens worden gebruikt; wij verwerken ze uitsluitend voor jou.

1.3Voor de gegevens over jou als klant van ons — je account, je abonnement, je betalingen aan ons en je supportvragen — zijn wij zelf verwerkingsverantwoordelijke. Die verwerking valt niet onder deze overeenkomst maar onder ons privacybeleid, want daarover kun je ons niet instrueren.

1.4Waar in dit document wordt verwezen naar de wet, bedoelen we de Algemene verordening gegevensbescherming (AVG) en de Nederlandse uitvoeringswetgeving daarbij.

2.1Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen jou en ons en geldt zolang wij persoonsgegevens voor jou verwerken. Je hoeft hem niet apart te ondertekenen: hij geldt vanaf het moment dat je Katsjing gebruikt.

2.2Spreekt deze overeenkomst de algemene voorwaarden tegen, dan gaat deze overeenkomst voor, maar alleen waar het om de verwerking van persoonsgegevens gaat. Voor al het andere blijven de algemene voorwaarden gelden.

2.3Een afwijking van deze overeenkomst geldt alleen als wij die schriftelijk met je hebben afgesproken.

3.1Wij verwerken persoonsgegevens om Katsjing aan je te leveren: om je administratie te bewaren en te tonen, om documenten te maken en te versturen, om betalingen te verwerken en te boeken, en om je te ondersteunen bij het gebruik.

3.2De verwerking bestaat onder meer uit het opslaan, ordenen, raadplegen, wijzigen, verstrekken aan de door jou gekozen ontvangers, en uiteindelijk wissen van gegevens.

3.3Wij verwerken de gegevens niet voor eigen doeleinden. In het bijzonder verkopen we ze niet, gebruiken we ze niet voor reclame, en gebruiken we de inhoud van jouw administratie niet om modellen voor kunstmatige intelligentie te trainen.

3.4Om Katsjing te verbeteren gebruiken we gegevens over het gebruik van functies in geanonimiseerde en samengevoegde vorm. Die gegevens zijn niet tot een persoon te herleiden en gelden daarmee niet als persoonsgegevens.

4.1Afhankelijk van hoe jij Katsjing gebruikt, kan het gaan om persoonsgegevens van:

• jouw klanten en hun contactpersonen;
• jouw leveranciers en hun contactpersonen, ook wanneer die gegevens uit een bon of een doorgestuurde factuur worden gelezen;
• de mensen die jij toegang geeft tot je administratie, zoals medewerkers en je boekhouder;
• personen die worden genoemd in documenten die je uploadt, doorstuurt of verstuurt.

4.2Het kan daarbij gaan om de volgende soorten gegevens:

• naam, adres, woonplaats en land;
• contactgegevens zoals e-mailadres en telefoonnummer;
• zakelijke identificatiegegevens zoals KvK-nummer en btw-identificatienummer;
• financiële gegevens zoals factuurbedragen, betaalgedrag, openstaande posten, bankrekeningnummers en gegevens over een afgegeven machtiging;
• correspondentie, waaronder verstuurde documenten, begeleidende berichten en binnengekomen e-mail in de inkoop-inbox;
• gebruiksgegevens van het klantportaal, zoals het moment waarop een document is bekeken of een offerte is geaccepteerd;
• gegevens over ritten, waaronder vertrek- en bestemmingsadressen;
• de inhoud van bestanden die je zelf toevoegt, en die naar hun aard niet vooraf te bepalen is.

4.3Katsjing is niet ingericht voor bijzondere categorieën van persoonsgegevens, zoals gegevens over gezondheid, geloofsovertuiging of strafrechtelijke gegevens. Voer die niet in en stuur geen documenten door die daar in hoofdzaak over gaan. Doe je dat toch, dan gebeurt dat op jouw verantwoordelijkheid en zonder dat wij daarvoor aanvullende maatregelen hebben getroffen.

5.1Wij verwerken de persoonsgegevens zolang jij Katsjing gebruikt en zolang dat nodig is om de dienst te leveren.

5.2Verwijder je zelf gegevens uit je administratie, dan verwijderen wij ze uit de actieve omgeving. Ze kunnen daarna nog beperkte tijd in onze back-ups voorkomen; die worden volgens een vaste cyclus overschreven.

5.3Na het einde van de overeenkomst geldt artikel 15.

5.4Let op: hoe lang JIJ je administratie moet bewaren volgt uit jouw eigen wettelijke bewaarplicht. Wij bepalen die termijn niet en bewaken hem niet voor je.

6.1Wij verwerken de persoonsgegevens uitsluitend op jouw instructie, tenzij een wettelijke verplichting ons tot iets anders verplicht. In dat geval melden we dat vooraf aan je, behalve wanneer die wet dat verbiedt.

6.2Het gebruik van de functies van Katsjing geldt als jouw instructie. Geef je ons daarbuiten een instructie, dan doe je dat schriftelijk.

6.3Wij mogen een instructie weigeren die naar ons oordeel in strijd is met de wet, en we laten je dat dan weten. Vraagt een instructie om werk dat buiten de gewone dienstverlening valt, dan mogen we daar vooraf een redelijke vergoeding voor afspreken.

6.4Wij verstrekken de gegevens niet aan derden, behalve aan de subverwerkers uit artikel 18, aan de ontvangers die jij zelf aanwijst, en wanneer de wet of een bevoegde autoriteit ons daartoe verplicht. In dat laatste geval informeren we je zodra dat mag.

7.1Wij houden de persoonsgegevens geheim en geven er alleen toegang toe aan personen die die toegang nodig hebben voor het leveren van de dienst.

7.2Iedereen die bij ons toegang heeft is tot geheimhouding verplicht, op grond van een arbeidsovereenkomst, een opdrachtovereenkomst of een aparte geheimhoudingsverklaring.

7.3Wij kijken niet in jouw administratie, behalve wanneer dat nodig is om een vraag te beantwoorden die je zelf hebt gesteld, om een storing of misbruik te onderzoeken, of wanneer de wet ons daartoe verplicht.

8.1Wij treffen passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en tegen onrechtmatige verwerking. Daarbij houden we rekening met de stand van de techniek, de kosten, en de aard en de risico's van de verwerking.

8.2Die maatregelen zijn op dit moment onder meer:

• opslag van je administratie binnen de Europese Unie; zie artikel 10 voor de onderdelen die mede daarbuiten worden verwerkt;
• scheiding van elke administratie op databaseniveau, zodat de database zelf — en niet alleen de applicatie — afdwingt dat gegevens van de ene administratie niet bij een andere terechtkomen;
• versleutelde verbindingen tussen je browser en onze servers;
• versleutelde opslag van toegangssleutels van gekoppelde diensten, gebonden aan de administratie waar ze bij horen;
• inloggen zonder wachtwoord, met een eenmalige code per e-mail;
• toegang per gebruiker met rollen, zodat iemand alleen kan wat bij zijn rol hoort;
• publieke deellinks, zoals een klantportaal- of offertelink, uitsluitend met een ondertekend token met een beperkte geldigheidsduur dat je kunt intrekken;
• vastlegging van financiële mutaties en verzendingen in een logboek;
• regelmatige back-ups voor herstel na een storing.

8.3Wij mogen deze maatregelen aanpassen zolang het beschermingsniveau daardoor niet lager wordt.

8.4Jij treft zelf ook passende maatregelen. Daaronder valt in elk geval het beveiligen van de mailbox waarmee je inlogt, het uitsluitend uitnodigen van mensen die toegang nodig hebben, en het intrekken van toegang van mensen die die niet meer nodig hebben.

9.1Je geeft ons algemene toestemming om andere verwerkers in te schakelen voor onderdelen van de dienst. Wie dat op dit moment zijn en waarvoor, staat in artikel 18.

9.2Wij leggen elke subverwerker schriftelijk dezelfde verplichtingen op als wij hier tegenover jou aangaan, en blijven zelf verantwoordelijk voor wat zij doen.

9.3Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minimaal 30 dagen vooraf weten.

9.4Heb je gegronde bezwaren tegen een nieuwe subverwerker, dan meld je die binnen de aankondigingstermijn en zoeken we samen naar een oplossing. Komen we er niet uit, dan mag je de overeenkomst opzeggen tegen de dag waarop die subverwerker in gebruik wordt genomen, zonder dat je daarvoor iets verschuldigd bent behalve wat je al hebt gebruikt.

9.5Bij een wisseling in een noodsituatie — bijvoorbeeld omdat een leverancier plotseling wegvalt — mogen we eerder overstappen. We laten je dat dan zo snel mogelijk weten en je bezwaarrecht blijft gelden.

10.1Je administratie zelf — de database en de opgeslagen bestanden — staat in de Europese Unie en verlaat die niet.

10.2Een deel van de partijen uit artikel 18 verwerkt wél mede buiten de Europese Unie. Dat geldt op dit moment voor het versturen en ontvangen van e-mail en voor de afhandeling van supportmeldingen, en het betekent dat de inhoud van een verstuurd document of van een supportbericht de Unie kan verlaten.

10.3Voor die doorgifte steunen we op het EU-VS Data Privacy Framework, en waar dat niet van toepassing is op de modelcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar dat nodig is.

10.4Komt er een nieuwe doorgifte bij, dan laten we je weten om welke verwerking het gaat en op welke grondslag zij plaatsvindt. Dat verloopt langs dezelfde weg als een wijziging in de subverwerkers.

11.1Een verzoek van een betrokkene — bijvoorbeeld om inzage, correctie of verwijdering — beantwoord jij. Wij beantwoorden zo'n verzoek niet zelf.

11.2Komt zo'n verzoek toch bij ons binnen, dan sturen we het zo snel mogelijk naar je door en beantwoorden we het niet inhoudelijk.

11.3Wij helpen je bij het afhandelen van die verzoeken, voor zover dat redelijkerwijs van ons kan worden gevraagd. In de praktijk kun je de meeste verzoeken zelf afhandelen in Katsjing: gegevens zijn daar in te zien, te wijzigen, te verwijderen en te exporteren.

11.4Vraagt het beantwoorden om werk dat verder gaat dan wat de functies van Katsjing bieden, dan mogen we daar vooraf een redelijke vergoeding voor afspreken.

12.1Wij helpen je bij het nakomen van je eigen verplichtingen rond beveiliging, het melden van inbreuken, een gegevensbeschermingseffectbeoordeling en een eventuele voorafgaande raadpleging van de toezichthouder.

12.2Die hulp bestaat uit het verstrekken van de informatie waarover wij beschikken. Wij voeren zo'n beoordeling niet voor je uit en geven daarover geen advies.

13.1Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw administratie raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij er kennis van hebben genomen.

13.2Bij die melding geven we in elk geval, voor zover we het weten:

• wat er is gebeurd en wanneer;
• welke categorieën gegevens en betrokkenen het betreft en om welke aantallen het bij benadering gaat;
• wat de waarschijnlijke gevolgen zijn;
• welke maatregelen we hebben genomen of voorstellen om de gevolgen te beperken;
• bij wie je terechtkunt voor meer informatie.

13.3Weten we op het moment van melden nog niet alles, dan melden we wat we wel weten en vullen we dat daarna aan.

13.4Het melden aan de Autoriteit Persoonsgegevens en, waar nodig, aan de betrokkenen doe jij. Wij doen die melding niet namens jou, tenzij we dat apart afspreken.

13.5Een melding aan jou is op zichzelf geen erkenning dat de inbreuk aan ons is toe te rekenen.

14.1Wij stellen je op verzoek de informatie ter beschikking die nodig is om aan te tonen dat wij deze overeenkomst nakomen.

14.2Wil je een audit laten uitvoeren, dan kondig je die minimaal dertig dagen vooraf aan. De audit wordt uitgevoerd door een onafhankelijke deskundige die tot geheimhouding is gehouden, tijdens kantooruren, en op een manier die onze dienstverlening en de gegevens van andere klanten niet raakt.

14.3Je mag hoogstens één audit per kalenderjaar laten uitvoeren, tenzij er een concrete aanleiding is, zoals een inbreuk of een aanwijzing van de toezichthouder.

14.4De kosten van de audit zijn voor jou, ook onze redelijke kosten voor de medewerking eraan.

15.1Je kunt op elk moment zelf een volledige export van je administratie downloaden, ook tijdens en na de opzegtermijn. Wacht daar niet mee tot na het einde van de overeenkomst.

15.2Wil je dat wij je gegevens wissen, dan doe je dat via de verwijderfunctie in Katsjing. De administratie gaat dan meteen op slot, er volgt een bedenktijd van dertig dagen waarin je het kunt terugdraaien, en daarna wissen we alles onherroepelijk, inclusief de opgeslagen bestanden.

15.3Op één punt wissen we niet. Onze eigen verkoopregistratie van jouw abonnement — welk pakket, welke periode, welk bedrag — bewaren we ook daarna, omdat wij daar zelf een wettelijke bewaarplicht op hebben. Voor die gegevens zijn wij verwerkingsverantwoordelijke en niet verwerker; ze bevatten geen persoonsgegevens uit jouw administratie.

15.4Gegevens die na het wissen nog in back-ups voorkomen worden niet actief gebruikt en verdwijnen zodra die back-ups volgens de vaste cyclus zijn overschreven.

16.1Op onze aansprakelijkheid onder deze overeenkomst is de uitsluiting uit het aansprakelijkheidsartikel van de algemene voorwaarden van toepassing, met dezelfde grenzen en dezelfde uitzonderingen.

16.2Die uitsluiting werkt alleen tussen jou en ons. Zij kan niets afdoen aan de aansprakelijkheid die rechtstreeks uit de wet volgt tegenover een betrokkene: een verwerker is daarvoor op grond van de Algemene verordening gegevensbescherming zelf aansprakelijk, en dat is niet bij overeenkomst uit te sluiten of te beperken. Onderling geldt tussen ons de verdeling die de wet aan verwerkingsverantwoordelijke en verwerker toekent.

16.3Een boete die een toezichthouder oplegt komt voor rekening van degene aan wie hij is opgelegd. Ieder van ons draagt zijn eigen boete.

17.1Deze overeenkomst duurt zolang wij persoonsgegevens voor jou verwerken en eindigt daarna vanzelf. De bepalingen over geheimhouding, aansprakelijkheid en verwijdering blijven daarna gelden.

17.2Wij mogen deze overeenkomst wijzigen wanneer de wet, een uitspraak van een toezichthouder of een wijziging in de dienst daarom vraagt. We kondigen dat minimaal dertig dagen vooraf aan. Ben je het niet eens met een wijziging die voor jou nadelig is en meer dan gering, dan kun je opzeggen tot de dag waarop de wijziging ingaat.

17.3Op deze overeenkomst is Nederlands recht van toepassing.

17.4Geschillen leggen we voor aan de bevoegde rechter in Rotterdam.

17.5Vragen over deze overeenkomst of over de verwerking van persoonsgegevens? Mail ons op info@katsjing.nl.

18.1Wij schakelen op dit moment de volgende partijen in. Per partij staat waarvoor, en waar de gegevens worden verwerkt.

• Supabase — database, bestandsopslag en het inlogsysteem; dit is de plek waar je administratie staat. Verwerkt in Duitsland.
• Vercel — het draaien van de applicatie en het uitleveren van de website. Verwerkt in de Europese Unie; de onderneming zelf is Amerikaans.
• Resend — het versturen van je facturen, offertes, herinneringen en inlogcodes, en het ontvangen van de post op het inkoopadres van je administratie. Verwerkt in de Europese Unie en de Verenigde Staten.
• Microsoft — het automatisch uitlezen van bonnen en inkoopfacturen met kunstmatige intelligentie, via Azure AI Foundry. Wordt alleen ingeschakeld voor documenten die je uploadt, fotografeert of doorstuurt. Verwerkt in de Europese Unie.
• GitHub — het afhandelen van supportmeldingen in een afgeschermde, niet-openbare omgeving. Hierbij worden je naam, je e-mailadres, je bericht en je eventuele bijlagen verwerkt. Dit gaat in beginsel over jou en niet over je administratie; voeg daarom geen klantgegevens aan een supportmelding toe die daar niet nodig zijn. Verwerkt in de Verenigde Staten.
• Kadaster (PDOK) — adressuggesties bij de kilometerregistratie. Verwerkt in Nederland. Wordt alleen aangeroepen wanneer je die functie gebruikt.
• HeiGIT (OpenRouteService) — het berekenen van de afstand tussen twee adressen bij de kilometerregistratie. Verwerkt in Duitsland. Wordt alleen aangeroepen wanneer je die functie gebruikt.
• Storecove — het versturen van elektronische facturen over het Peppol-netwerk. Verwerkt in Nederland. Wordt alleen ingeschakeld wanneer die verzending voor jou is aangezet.

18.2Twee verwerkingen staan hier bewust NIET in, omdat het daarbij niet om subverwerkers gaat. Koppel je je eigen Mollie-account om online betalen of automatische incasso aan te bieden, dan sluit jij die overeenkomst zelf met Mollie: die partij verwerkt dan voor jou en niet voor ons. En de betaling van je abonnement aan ons, het opzoeken van je bedrijfsgegevens bij de Kamer van Koophandel en de bezoekersstatistiek op onze openbare website gaan over jou als onze klant of bezoeker; daarvoor zijn wij verwerkingsverantwoordelijke en dat staat in ons privacybeleid.

18.3Deze lijst hoort gelijk te lopen met de lijst in ons privacybeleid; die noemt daarnaast ook de partijen waarvoor wij zelf verwerkingsverantwoordelijke zijn. Een wijziging kondigen we aan volgens artikel 9.